DE102013003205A1

DE102013003205A1 - Verfahren zur sicheren Zugangscode-Eingabe

Info

Publication number: DE102013003205A1
Application number: DE102013003205.9A
Authority: DE
Inventors: Dr. Martini Ullrich
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient Mobile Security GmbH
Priority date: 2013-02-26
Filing date: 2013-02-26
Publication date: 2014-08-28
Also published as: CN104969595A; KR20150141948A; US20150371050A1; US9792445B2; EP2962484B1; CN104969595B; EP2962484A1; KR101751159B1; WO2014131511A1

Abstract

Die Erfindung schafft ein Verfahren zur sicheren Eingabe eines Zugangscodes in eine Eingabeschnittstelle eines mobilen Endgeräts. Während eines Eingabe-Zeitraums, in welchem der Vorgang der Eingabe des Zugangscodes liegt, werden zumindest einer oder manche an der Eingabe des Zugangscodes unbeteiligte Sensoren des Endgeräts, die jeweils zur sensorischen Erfassung einer Sensorgrößen eingerichtet sind, am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße gehindert.

Description

Die Erfindung betrifft ein Verfahren zur sicheren Eingabe eines Zugangscodes in eine Eingabeschnittstelle eines mobilen Endgeräts.
Die meisten mobilen Endgeräte wie Mobiltelefone, Smartphones und dergleichen sind durch einen individuellen Zugangscode, die PIN (personal identification number), zugriffsgesichert. Erst nach richtiger Eingabe des Zugangscodes an einer Eingabeschnittstelle des Endgeräts wird das Endgerät benutzbar. Als Eingabeschnittstelle ist z. B. eine in Hardware implementierte Tastatur (Keypad) vorgesehen, alternativ ein berührungsempfindliches Display (Touch Screen) des Endgeräts, insbesondere eine auf dem Display des Endgeräts anzeigbare Tastatur (Touch Pad).
Gerade Smartphones haben eine Reihe von diversen Sensoren, mit denen unter Ausnutzung physikalischer Effekte Daten aufgenommen werden können und im Smartphone lauffähige Applikationen gespeist werden können. Beispielsweise haben die meisten Smartphones Bewegungssensoren, durch die Bewegungen des Smartphones im Raum erfasst werden können. Die erfassten Bewegungen können beispielsweise einem Computerspiel als Eingabe dienen, z. B. in Form von Lenkbewegungen eines Kraftfahrzeugs oder von Bewegungen eines imaginären Sportlers in einer Sportart. Bei manchen Endgeräten lassen sich durch Schütteln des Endgeräts bestimmte Aktionen in der Dateiverwaltung auslösen, z. B. Laden einer anderen Datei oder dergleichen. Die meisten Endgeräte haben als weiteren Sensor eine Digitalkamera, mit der sich statische Bilder und Filme aufnehmen lassen.
In EP 2136 536 A1 wird vorgeschlagen, einen Beschleunigungssensor eines mobilen Endgeräts zu nutzen, um das mobile Endgerät in einen zu Bewegungen des Nutzers passenden Betriebszustand zu versetzen.
Bei der Eingabe des Zugangscodes führt der Nutzer eines Endgeräts Bewegungen seiner Hände und insbesondere Finger durch, die den Zugriff auf die Tasten der Tastatur widerspiegeln, die den einzelnen Stellen des Zugangscodes entsprechen. 2 zeigt ein Beispiel für einen üblichen Ziffernblock einer Tastatur, wie sie an einem mobilen Endgerät vorgesehen sein kann. Die Ziffer drei („3”) ist in der rechten oberen Ecke angeordnet. Betätigt der Nutzer die Taste drei, drückt er relativ zum Betätigen anderer Tasten rechts oben auf das Telefon. Ein Endgerät wie das in 1 gezeigte, könnte vier Bewegungssensoren haben, nämlich je einen rechts oben, links oben, rechts unten, links unten. Wird bei der PIN-Eingabe die rechts oben angeordnete Taste drei betätigt, könnte der rechts oben angeordnete Bewegungssensor im Vergleich zur Betätigung anderer Tasten die stärkste Reaktion zeigen, da die Taste drei am nächsten am Beschleunigungssensor rechts oben liegt. Eine Kamera des Endgeräts könnte bei Betätigung der Taste drei den Finger oder die Augen des Nutzers in einer Position rechts oben erkennen, oder in einer Bewegung zur Taste drei. Auch ein Mikrophon könnte abhängig von der betätigten Taste auf der Tastatur unterschiedlich ansprechen, ebenso unbeteiligte Kontaktlosschnittstellen wie NFC oder Bluetooth, oder ein GPS-System. Sensoren bilden somit potentielle Seitenkanäle, über die ein Zugangscode wie z. B. eine PIN ausgespäht werden könnte.
Prinzipiell arbeiten Sensoren, wie z. B. Beschleunigungssensoren, in Endgeräten derart, dass eine Sensorgröße, z. B. die Beschleunigung des Endgeräts gegenüber dem Bezugssystem (d. h. gegenüber der Außenwelt) sensorisch erfasst wird und die erfasste Beschleunigung an einen Mikroprozessor des Endgeräts weitergeleitet wird. Der Mikroprozessor verarbeitet die erfassten Sensordaten und kann sie einer Software des Endgeräts zuführen, z. B. einem Computerspiel oder einer Dateiverwaltung, einer Applikation auf Applikationsebene, oder einem Treiber auf Hardware-Ebene, der z. B. das Endgerät in den Stand-By-Modus schalten könnte.
DE 102 31 870 B4 beschreibt ein Verfahren zur gesicherten PIN-Eingabe in ein mobiles Endgerät, bei dem, während ein Nutzer eine PIN-Eingabe durchführt, Sensorgrößen von Sensoren des mobilen Endgeräts erfasst werden, die erfassten Sensorgrößen mit vorabgespeicherten nutzerspezifischen Referenz-Sensorgrößen verglichen werden und die PIN höchstens bei Übereinstimmung von erfassten und Referenz-Sensorgrößen akzeptiert wird.
Prinzipiell sind gesicherte Laufzeitarchitekturen bekannt, insbesondere zweigeteilte Laufzeitarchitekturen wie z. B. die der Firma ARM (Trustzone-Architektur), mit einer normalen Laufzeitumgebung und einer gesicherten Laufzeitumgebung. In der gesicherten Laufzeitumgebung sind Sicherheitsapplikationen und Sicherheitstreiber (z. B. für Peripheriegeräte wie z. B. eine Tastatur) unter Verwaltung eines Sicherheitsbetriebssystems implementiert.
Der Erfindung liegt die Aufgabe zu Grunde, ein Verfahren zur sicheren Eingabe eines Zugangscodes in eine Eingabeschnittstelle eines mobilen Endgeräts zu schaffen, und ein entsprechendes Endgerät.
Die Aufgabe wird gelöst durch ein Verfahren nach Anspruch 1. Vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen Ansprüchen angegeben.
Das Verfahren nach Anspruch 1 ist zur sicheren Eingabe eines Zugangscodes in eine Eingabeschnittstelle eines mobilen Endgeräts vorgesehen. Das Verfahren zeichnet sich dadurch aus, dass während eines Eingabe-Zeitraums, in welchem der Vorgang der Eingabe des Zugangscodes liegt, zumindest ein oder manche an der Eingabe des Zugangscodes unbeteiligte Sensoren des Endgeräts, die jeweils zur sensorischen Erfassung einer Sensorgröße eingerichtet sind, am Erfassen oder Weitergeben der jeweiligen Sensorgröße gehindert werden. Je nach Art des Sensors wird das Erfassen, Weitergeben oder beides verhindert.
Wenn der Sensor bzw. die Sensoren während der Eingabe des Zugangscodes am Erfassen der jeweiligen Sensorgröße gehindert werden, können sich Eigenheiten bei der Eingabe, die vom Wert des Zugangscodes abhängen, nicht auf die Sensorgröße niederschlagen. Falls doch eine Sensorgröße erzeugt wird, z. B. weil die Messung mechanisch erfolgt und sich nicht oder nicht ohne Weiteres ausschalten lässt, wird die erfasste Sensorgröße zumindest nicht zur Auswertung weitergeleitet, z. B. an den Mikroprozessor des Endgeräts, so dass aus der Sensorgröße keine Information über den eingegebenen Zugangscode ausgespäht werden kann. Der Seitenkanal der Sensorgröße zur Ausspähung des Zugangscodes ist in beiden Fällen – Verhindern des Erfassens oder Verhindern des Weiterleitens der Sensorgröße – abgeschnitten.
Somit ist gemäß Anspruch 1 ein Verfahren zur sicheren Eingabe eines Zugangscodes in eine Eingabeschnittstelle eines mobilen Endgeräts geschaffen.
Ein Sensor kann beispielsweise durch Trennen des Sensors von der Versorgung mit Leistung oder Strom oder Spannung etc. am Erfassen oder Weiterleiten der Sensorgröße gehindert werden. Ein von der Leistungs-, Strom- bzw. Spannungsversorgung getrennter Sensor, der als Kamera gestaltet ist, kann die Sensorgröße nicht erfassen und zudem nicht weiterleiten, ist also in beiderlei Hinsicht abgeschnitten. Ein von der Leistungs-, Strom bzw. Spannungsversorgung getrennter Beschleunigungssensor, dessen Sensorgröße auf der Messung einer mechanischen Größe, z. B. Schwingung, beruht, erzeugt durch die mechanische Bewegung des Endgeräts zwar zwangsweise einen Beschleunigungswert als Sensorgröße, aber die erfasste Sensorgröße wird nicht zur Auswertung an den Mikroprozessor weitergeleitet.
Als Sensor ist wahlweise zumindest einer der folgenden vorgesehen: eine Bewegungssensor-Anordnung mit ein oder mehreren Bewegungssensoren, eine Kamera-Anordnung mit ein oder mehreren Kameras, eine Mikrophon-Anordnung mit ein oder mehreren Mikrophonen, eine Kontaktlosschnittstelle, insbesondere NFC-Schnittstelle oder Bluetooth-Schnittstelle.
Wahlweise werden alle an der Eingabe des Zugangscodes unbeteiligte Sensoren des Endgeräts am Erfassen oder Weitergeben der jeweiligen Sensorgröße gehindert. So sind z. B. Kamera, Beschleunigungssensoren, Kontaktlos (z. B. NFC)-Schnittstelle an der Eingabe eines Zugangscodes unbeteiligt und ihre Funktionsfähigkeit während der Zugangscode-Eingabe ist überflüssig. Bei einer sprachlichen Eingabe des Zugangscodes ist ein Mikrophon als Sensor beteiligt und erforderlich, bei der Eingabe über Tastatur ist ein Mikrophon unbeteiligt und überflüssig.
Wahlweise kann jeder Sensor, der am Erfassen gehindert werden kann, einen aktivierten Zustand einnehmen, in welchem der Sensor in der Lage ist, die Sensorgröße zu erfassen und weiterzuleiten, und einen deaktivierten Zustand einnehmen, in welchem der Sensor unfähig ist, die Sensorgröße zu erfassen, oder unfähig ist, die Sensorgröße weiterzugeben (weiterzuleiten). Im aktivierten Zustand ist der Sensor also funktionsfähig. Im deaktivierten Zustand ist der Sensor nicht voll funktionsfähig, entweder weil er die Sensorgröße nicht erfassen kann, oder weil er die Sensorgröße nicht zur Bearbeitung an den Mikroprozessor des Endgeräts weitergeben kann, oder beides. Dabei wird der Sensor dadurch am Erfassen oder Weiterleiten der Sensorgröße gehindert, dass durch das Endgerät sichergestellt wird, dass der Sensor während des Eingabe-Zeitraums den deaktivierten Zustand hat.
Wahlweise wird anlässlich einer Veranlassung einer Zugangscode-Eingabe seitens des Endgeräts, für jeden Sensor, der am Erfassen oder Weiterleiten gehindert wird, durch das Endgerät der Sensor daraufhin geprüft, ob er im aktivierten Zustand oder im deaktivierten Zustand ist. Ggf. wird der Sensor deaktiviert oder am Aktiviertwerden gehindert.
Wahlweise ist als Eingabe-Schnittstelle eine Tastatur vorgesehen, insbesondere eine Hardware-Tastatur mit körperlichen Tasten oder eine auf einem berührungsempfindlichen Display des Endgeräts anzeigbare Soft-Tastatur.
Wahlweise ist als Zugangscode eine PIN vorgesehen, insbesondere eine numerische PIN (PIN = personal identification number).
Wahlweise umfasst das Endgerät zu jedem Sensor einen Sensortreiber, wobei, um den Sensor am Erfassen oder Weitergeben zu hindern, der Sensortreiber zumindest teilweise oder ganz deaktiviert wird.
Wahlweise werden der oder die Sensoren durch eine in einer gesicherten Laufzeitumgebung des Endgeräts implementierte Sicherheitssoftware am Erfassen der jeweiligen Sensorgröße gehindert, insbesondere durch eine Sicherheitsapplikation oder einen Sicherheitstreiber. Hierdurch ist die Sensor-Hinderung (z. B. Deaktivierung) vor Missbrauch geschützt. Insbesondere wird so ein vom Nutzer unbemerktes Aushebeln der Schutzmaßnahme durch Schadsoftware wie Viren oder Trojaner verhindert.
Ein erfindungsgemäßes mobiles Endgerät umfasst eine Eingabeschnittstelle, über die ein Zugangscode eingebbar ist, mindestens einen Sensor, und zudem eine Einrichtung, um Sensoren des Endgeräts am Erfassen oder Weiterleiten ihrer Sensorgröße zu hindern, während an einer Eingabeschnittstelle des Endgeräts ein Zugangscode eingegeben wird.
Bei dem Endgerät ist wahlweise als Sensor zumindest einer der folgenden vorgesehen: eine Bewegungssensor-Anordnung mit ein oder mehreren Bewegungssensoren, die z. B. an unterschiedlichen Orten am Endgerät angeordnet sind, z. B. links unten, links oben, rechts unten, rechts oben, mittig rechts, mittig links, oben mittig, unten mittig, etc.; eine Kamera-Anordnung mit ein oder mehreren Kameras, eine Mikrophon-Anordnung mit ein oder mehreren Mikrophonen, eine Kontaktlosschnittstelle, insbesondere NFC-Schnittstelle oder Bluetooth-Schnittstelle.
Als Eingabe-Schnittstelle am Endgerät ist wahlweise eine Tastatur vorgesehen, insbesondere eine Hardware-Tastatur mit körperlichen Tasten oder eine auf einem berührungsempfindlichen Display des Endgeräts anzeigbare Soft-Tastatur.
Das Endgerät hat wahlweise eine gesicherte Laufzeitumgebung, die durch ein Sicherheitsbetriebssystem steuerbar ist, und in der eine Sicherheitssoftware implementiert ist, durch welche sich der oder die Sensoren am Erfassen oder Weitergeben der jeweiligen Sensorgröße hindern lassen. Durch die so erzielte Steuerung der Sensor-Deaktivierung aus der gesicherten Laufzeitumgebung heraus mittels der Sicherheitssoftware ist sichergestellt, dass die Sensor-Deaktivierung auch wirklich durchgeführt wird und nicht – unbemerkt vom Nutzer des Endgeräts – heimlich unterbunden wird.
Wahlweise umfasst in dem Endgerät die Sicherheitssoftware eine in der gesicherten Laufzeitumgebung implementierte PIN-Eingabe-Software, insbesondere eine PIN-Eingabe-Applikation oder einen PIN-Eingabe-Treiber. Durch die PIN-Eingabe-Software ist das Endgerät auf bevorstehende Eingabe eines Zugangscodes überwachbar. Das Endgerät hat zu jedem Sensor, der am Erfassen oder Weitergeben seiner Sensorgröße hinderbar ist, einen Sensortreiber, durch den das Erfassen und Weitergeben der Sensorgröße mit dem Sensor steuerbar ist. Im Normalbetrieb ist also der Sensor durch den Sensortreiber softwaremäßig auf Hardwareebene gesteuert. Die Sensortreiber sind gemäß der Erfindung durch die PIN-Eingabe-Software steuerbar. Die Steuerung ist insbesondere vorzugsweise derart gestaltet, dass, sobald durch die PIN-Eingabe-Software eine bevorstehende Eingabe eines Zugangscodes erkannt wird, durch die PIN-Eingabe-Software veranlasst wird, dass die Sensortreiber so gesteuert werden, dass die Sensoren am Erfassen oder Weitergeben der jeweiligen Sensorgröße gehindert werden.
Eine bevorstehende PIN-Eingabe ist für das Endgerät beispielsweise daran erkennbar, dass über eine (Nutzer-)Schnittstelle (z. B. Display) des Endgeräts an den Nutzer eine Aufforderung zur Eingabe eines Zugangscodes ausgegeben wird. Im Gesamtablauf wird also z. B. sobald durch das Endgerät über die (Nutzer-)Schnittstelle (z. B. Display) eine Aufforderung zur Zugangscode-Eingabe ausgegeben wird, die Sicherheitssoftware veranlasst, die Sensoren zu deaktivieren oder sonstwie am Erfassen oder Weiterleiten ihrer Sensorgröße zu hindern.
Die PIN-Eingabe-Software ist wahlweise als PIN-Eingabe-Treiber gestaltet, wobei die Sensortreiber auf Hardwareebene durch die PIN-Eingabe-Software steuerbar sind, insbesondere über eine Busverbindung, insbesondere I2C-Bus- oder SPI-Bus-Verbindung. Sensoren sind Hardware-Elemente, die üblicherweise auf Hardware-Ebene angesteuert werden, z. B. über eine I2C-Bus oder SPI-Bus oder eine andere geeignete Busverbindung. Hardware-Elemente werden meist durch Treiber gesteuert. Entsprechend werden die Sensoren durch Sensortreiber gesteuert. Eine Tastatur ist ebenfalls ein Hardware-Element, und wird daher vorzugsweise durch einen Treiber, nämlich den Tastaturtreiber, gesteuert, vorzugsweise auf Hardware-Ebene, z. B. über eine Busverbindung, z. B. I2C-Bus oder SPI-Bus. Bei einer Ausführungsform, bei welcher die Sicherheitssoftware als Überwachungselement einen PIN-Eingabe-Treiber hat, sind somit alle Steuersoftwares als Treiber gestaltet und auf Hardwareebene verbunden, z. B. über eine gemeinsame Busverbindung.
Eine PIN-Eingabe-Software in Form eines Treibers macht somit die Implementierung der Erfindung strukturell besonders effizient und einfach.
Wahlweise sind die Sensortreiber durch die PIN-Eingabe-Software deaktivierbar und hierdurch am Liefern von Daten hinderbar.
Ein Endgerät mit einer gesicherten Laufzeitumgebung ist wahlweise wie folgt gestaltet. Wahlweise hat der jeweilige Sensortreiber einen außerhalb der gesicherten Laufzeitumgebung implementierten unsicheren Sensortreiber und einen innerhalb der gesicherten Laufzeitumgebung implementierten gesicherten Sensortreiber. Die Sensortreiber inner- bzw. außerhalb der gesicherten Laufzeitumgebung können identischen oder unterschiedlichen Funktionsumfang haben. Wahlweise ist durch die PIN-Eingabe-Software zumindest der unsichere Sensortreiber deaktivierbar. Hierdurch wird erreicht, dass der Sensor unter Steuerung der PIN-Eingabe-Software unter die ausschließliche Steuerung durch die gesicherte Laufzeitumgebung gestellt wird. Von außerhalb der gesicherten Laufzeitumgebung ist der Sensor dagegen nicht mehr ansteuerbar. Alternativ wird der Sensor völlig deaktiviert.
Im Folgenden wird die Erfindung an Hand von Ausführungsbeispielen und unter Bezugnahme auf die Zeichnung näher erläutert, in der zeigen:
1 ein Endgerät gemäß einer Ausführungsform der Erfindung;
2 einen typischen Nummernblock einer Tastatur eines Endgeräts;
3 eine zweigeteilte Laufzeitarchitektur in einem Endgerät gemäß einer Ausführungsform der Erfindung.
1 zeigt ein Endgerät gemäß einer Ausführungsform der Erfindung, z. B. ein Mobiltelefon oder Smartphone, in dem eine gesicherte Laufzeitumgebung TEE (trusted execution environment) implementiert ist. Über eine Tastatur KP (key pad) lässt sich zur Freischaltung des Endgeräts eine PIN als Zugangscode eingeben. Das Endgerät hat zudem eine Digitalkamera CAM und in der Nähe jeder der vier Ecken je einen Beschleunigungssensor BSE-OR, BSE-OL, BSE-UR, BSE-UL. Die Digitalkamera CAM und die vier Beschleunigungssensoren BSE-OR, BSE-OL, BSE-UR, BSE-UL sind an der Eingabe einer PIN in die Tastatur KP unbeteiligt, könnten aber unbeabsichtigt Rückmeldung über das Verhalten des Nutzers bei der PIN-Eingabe liefern. Folglich werden gemäß der Erfindung, wenn der Mikroprozessor des Endgeräts eine Aufforderung zur PIN-Eingabe ausgibt, automatisch die Kamera CAM und die vier Beschleunigungssensoren BSE-OR, BSE-OL, BSE-UR, BSE-UL (und ggf. weitere. überflüssige Sensoren) automatisch deaktiviert oder am Aktiviertwerden gehindert, und zumindest solange im deaktivierten Zustand gehalten, bis die PIN-Eingabe abgeschlossen ist. 2 zeigt eine typische Tastatur KP für ein mobiles Endgerät wie z. B. das aus 1.
3 zeigt eine zweigeteilte Laufzeitarchitektur in dem mobilen Endgerät aus 1, gemäß einer Ausführungsform der Erfindung. Das Endgerät umfasst eine normale, unsichere Laufzeitumgebung NEE (normal execution environment), gesteuert durch ein Normalbetriebssystem N-OS (normal operating system) und eine gesicherte Laufzeitumgebung TEE (trusted execution environment), gesteuert durch ein Sicherheitsbetriebssystem S-OS (secure operating system). In der normalen, unsicheren Laufzeitumgebung NEE, gesteuert durch ein Normalbetriebssystem N-OS sind ein Kameratreiber DR-CAM zum Steuern der Digitalkamera und ein BSE-Sensor-Treiber DR-BSE zum Steuern der Beschleunigungssensoren BSE-OR, BSE-OL, BSE-UR, BSE-UL implementiert. In der gesicherten Laufzeitumgebung TEE, unter Steuerung des Sicherheitsbetriebssystem S-OS, sind ein Tastaturtreiber DR-KP und ein PIN-Eingabe-Treiber DR-PIN implementiert. Durch den PIN-Eingabe-Treiber DR-PIN wird das Endgerät auf PIN-Eingabe überwacht. Sobald die Tastatur KP für die Eingabe einer PIN freigeschaltet wird und der Nutzer aufgefordert wird, die PIN über die Tastatur KP einzugeben, werden, noch bevor der Nutzer die Möglichkeit erhält, die PIN einzugeben, durch den PIN-Eingabe-Treiber DR-PIN der Kameratreiber DR-CAM und der BSE-Treiber DR-BSE deaktiviert, so dass die Kamera CAM und die Beschleunigungssensoren BSE-* dem Mikroprozessor keine Sensorgrößen liefern. Erst frühestens nachdem die PIN-Eingabe abgeschlossen ist, gibt der PIN-Eingabe-Treiber DR-PIN die Kamera CAM und die Beschleunigungssensoren BSE-* wieder frei.
Wie in 3 durch die gestrichelten Kästchen angedeutet ist, können die Sensortreiber optional einen normalen Sensortreiber DR-BSE bzw. DR-CAM in der normalen Laufzeitumgebung NEE und einen sicheren Sensortreiber DR-BSE-S bzw. DR-CAM-S in der sicheren Laufzeitumgebung TEE haben. Zumindest die unsicheren Sensortreiber DR-BSE, DR-CAM werden bei PIN-Eingabe deaktiviert bzw. deaktiviert gehalten. Hierdurch sind die Sensoren BSE-*, CAM aus der unsicheren Laufzeitumgebung NEE heraus nicht ansteuerbar, und nur höchstens aus der sicheren Laufzeitumgebung TEE heraus ansteuerbar.
Der PIN-Eingabe-Treiber DR-PIN aus 3 ist als Treiber auf Hardware-Ebene gestaltet und kann somit, sofern eine Schnittstelle auf Hardware-Ebene zwischen der normalen und der ungesicherten Laufzeitumgebung vorgesehen ist, direkt auf Hardware-Ebene mit den Treibern DR-CAM, DR-BSE der Sensoren kommunizieren, z. B. über den I2C-Bus. Alternativ kann die Deaktivierung bzw. Aktivierungsverhinderung der Sensoren während der PIN-Eingabe durch eine PIN-Applikation (d. h. auf Applikationsebene) unter Steuerung des Sicherheitsbetriebssystems S-OS erfolgen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

EP 2136536 A1 [0004]
DE 10231870 B4 [0007]

Claims

Verfahren zur sicheren Eingabe eines Zugangscodes (PIN) in eine Eingabeschnittstelle (KP) eines mobilen Endgeräts, dadurch gekennzeichnet, dass während eines Eingabe-Zeitraums, in welchem der Vorgang der Eingabe des Zugangscodes (PIN) liegt, zumindest manche an der Eingabe des Zugangscodes (PIN) unbeteiligte Sensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) des Endgeräts, oder zumindest ein solcher Sensor, die jeweils zur sensorischen Erfassung einer Sensorgrößen eingerichtet sind, am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße gehindert werden.
Verfahren nach Anspruch 1, wobei alle an der Eingabe des Zugangscodes (PIN) unbeteiligte Sensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) des Endgeräts am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße gehindert werden.
Verfahren nach einem der Ansprüche 1 bis 2, wobei jeder Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM), der am Erfassen oder Weitergeben gehindert werden kann, einen aktivierten Zustand einnehmen kann, in welchem der Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) in der Lage ist, die Sensorgröße zu erfassen und weiterzugeben, und einen deaktivierten Zustand einnehmen kann, in welchem der Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) unfähig ist, die Sensorgröße zu erfassen oder/und weiterzugeben, und wobei der Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) dadurch am Erfassen oder/und Weitergeben der Sensorgröße gehindert wird, dass durch das Endgerät sichergestellt wird, dass der Sensor (BSE-*, CAM) während des Eingabe-Zeitraums den deaktivierten Zustand hat.
Verfahren nach Anspruch 3, wobei anlässlich einer Veranlassung einer Zugangscode-Eingabe seitens des Endgeräts, für jeden Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM), der am Erfassen oder/und Weitergeben gehindert wird, durch das Endgerät der Sensor daraufhin geprüft wird, ob er im aktivierten Zustand oder im deaktivierten Zustand ist.
Verfahren nach einem der Ansprüche 1 bis 4, wobei als Zugangscode eine PIN vorgesehen ist, insbesondere eine numerische PIN.
Verfahren nach einem der Ansprüche 1 bis 5, wobei das Endgerät zu jedem Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) einen Sensortreiber (DR-BSE, DR-CAM) umfasst, und wobei, um den Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) am Erfassen oder/und Weitergeben zu hindern, der Sensortreiber (DR-BSE, DR-CAM) zumindest teilweise oder ganz deaktiviert wird.
Verfahren nach einem der Ansprüche 1 bis 6, wobei der oder die Sensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) durch eine in einer gesicherten Laufzeitumgebung (TEE) des Endgeräts implementierte Sicherheitssoftware am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße gehindert werden, insbesondere durch eine Sicherheitsapplikation oder einen Sicherheitstreiber (DR-PIN).
Mobiles Endgerät mit einer Eingabeschnittstelle (KP), über die ein Zugangscode (PIN) eingebbar ist, mit mindestens einem Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM), gekennzeichnet durch eine Einrichtung, durch die sich während eines Eingabe-Zeitraums, in welchem der Vorgang der Eingabe eines Zugangscodes (PIN) in eine Eingabeschnittstelle (KP) des Endgeräts liegt, zumindest ein oder manche an der Eingabe des Zugangscodes (PIN) unbeteiligte Sensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) des Endgeräts, die jeweils zur sensorischen Erfassung einer Sensorgrößen eingerichtet sind, am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße hindern lassen.
Endgerät nach Anspruch 8, wobei als Sensor zumindest einer der folgenden vorgesehen ist: eine Bewegungssensor-Anordnung mit ein oder mehreren Bewegungssensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR), eine Kamera-Anordnung mit ein oder mehreren Kameras (CAM), eine Mikrophon-Anordnung mit ein oder mehreren Mikrophonen, eine Kontaktlosschnittstelle, insbesondere NFC-Schnittstelle oder Bluetooth-Schnittstelle.
Endgerät nach Anspruch 8 oder 9, wobei als Eingabe-Schnittstelle eine Tastatur (KP) vorgesehen ist, insbesondere eine Hardware-Tastatur mit körperlichen Tasten oder eine auf einem berührungsempfindlichen Display des Endgeräts anzeigbare Soft-Tastatur.
Endgerät nach einem der Ansprüche 8 bis 10, das eine gesicherte Laufzeitumgebung (TEE) aufweist, die durch ein Sicherheitsbetriebssystem (S-OS) steuerbar ist, und in der eine Sicherheitssoftware (DR-PIN) implementiert ist, durch welche sich der oder die Sensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße hindern lassen.
Endgerät nach Anspruch 11, – wobei die Sicherheitssoftware eine in der gesicherten Laufzeitumgebung (TEE) implementierte PIN-Eingabe-Software, insbesondere PIN-Eingabe-Applikation oder PIN-Eingabe-Treiber (DR-PIN), umfasst, durch die das Endgerät auf bevorstehende Eingabe eines Zugangscodes (PIN) überwachbar ist; – das Endgerät zu jedem Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM), der am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße hinderbar ist, einen Sensortreiber (DR-BSE, DR-CAM) umfasst, durch den das Erfassen und Weitergeben der Sensorgröße mit dem Sensor (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) steuerbar ist; wobei – die Sensortreiber (DR-BSE, DR-CAM) durch die PIN-Eingabe-Software (DR-PIN) steuerbar sind, insbesondere derart steuerbar sind, dass, – sobald durch die PIN-Eingabe-Software (DR-PIN) eine bevorstehende Eingabe eines Zugangscodes (PIN) erkannt wird, durch die PIN-Eingabe-Software (DR-PIN) veranlasst wird, dass die Sensortreiber (DR-BSE, DR-CAM) so gesteuert werden, dass die Sensoren (BSE-OL, BSE-OR, BSE-UL, BSE-UR, CAM) am Erfassen oder/und Weitergeben der jeweiligen Sensorgröße gehindert werden.
Endgerät nach Anspruch 12, wobei die PIN-Eingabe-Software als PIN-Eingabe-Treiber (DR-PIN) gestaltet ist, und wobei die Sensortreiber (DR-BSE, DR-CAM) auf Hardwareebene durch die PIN-Eingabe-Software steuerbar sind, insbesondere über eine Busverbindung, insbesondere I2C-Bus- oder SPI-Bus-Verbindung.
Endgerät nach Anspruch 12 oder 13, wobei die Sensortreiber (DR-BSE; DR-CAM) durch die PIN-Eingabe-Software (DR-PIN) deaktivierbar sind.
Endgerät nach Anspruch 14, wobei der jeweilige Sensortreiber (DR-BSE, DR-CAM) einen außerhalb der gesicherten Laufzeitumgebung (TEE) implementierten unsicheren Sensortreiber und einen innerhalb der gesicherten Laufzeitumgebung (TEE) implementierten gesicherten Sensortreiber (DR-BSE-S, DR-CAM-S) umfasst, und wobei durch die PIN-Eingabe-Software (DR-PIN) zumindest der unsichere Sensortreiber deaktivierbar ist.